CVE-2026-82956

Niewłaściwa neutralizacja danych wejściowych podczas generowania strony internetowej w Apache Wicket.

org.apache.wicket.ajax.AjaxNewWindowNotifyingBehavior zauważa, że ​​instancja strony została otwarta w drugim oknie lub karcie przeglądarki. Pyta przeglądarkę o wartość window.name, która dociera do serwera jako parametr żądania windowName i zapamiętuje, co przeglądarka zgłosiła w polu zachowania. To pole jest częścią serializowanego stanu strony, więc zapamiętana wartość pozostaje w magazynie strony tak długo, jak trwa instancja strony.

Przy każdym późniejszym renderowaniu tej instancji strony zachowanie buduje warunek wstępny wywołania Ajax, zastępując zapamiętaną wartość literałem ciągu JavaScript w pojedynczym cudzysłowie, a Wicket zapisuje ten warunek wstępny na stronie jako surowy JavaScript, ponieważ warunkiem wstępnym słuchacza wywołań Ajax jest skrypt dostarczony przez osobę wywołującą i jest emitowany bez cudzysłowów i znaków ucieczki. Nic na tej ścieżce nie umknie wartości. Nazwa okna jest dostarczana przez klienta i Wicket nie sprawdza jej poprawności, więc zapamiętana nazwa zawierająca pojedynczy cudzysłów kończy literał, a reszta działa jako skrypt w źródle aplikacji przy każdym renderowaniu instancji strony.

Aplikacja ma wpływ tylko wtedy, gdy jawnie dodała AjaxNewWindowNotifyingBehavior do komponentu. Żadna część frameworka nie instaluje tego zachowania, więc nie ma to wpływu na aplikację, która go nie używa. Nazwa, którą zachowanie generuje dla siebie, gdy przeglądarka w ogóle nie zgłasza żadnej nazwy, jest losowym identyfikatorem UUID i nie jest dostarczana przez klienta.

Ten problem dotyczy Apache Wicket: od 8.0.0 do 8.19.0, od 9.0.0 do 9.24.0, od 10.0.0 do 10.11.0.

Użytkownikom zaleca się aktualizację do wersji 8.20.0, 9.25.0 lub 10.12.0, która rozwiązuje problem.